Medical Devices Authentication Hardcoded Credential authentification faible

CVSS Score méta-temporaire	Prix actuel de l'exploit (≈)	Score d'intérêt CTI
9.0	$0-$5k	0.00

Résuméinformation

Une vulnérabilité classée comme critique a été trouvée dans Medical Devices. La partie affectée est une fonction inconnue du composant Authentification. A cause de la manipulation dans le cadre de Hardcoded Credential mène à une vulnérabilité de classe authentification faible. De plus, un exploit est disponible. Cette vulnérabilité a un impact historique en raison de son contexte et de sa réception.

Détailsinformation

Une vulnérabilité a été trouvé dans Medical Devices (Medical Device Software) et classée très critique. Affecté est une fonction inconnue du composant Authentication. La manipulation dans le cadre de Hardcoded Credential mène à une vulnérabilité de classe authentification faible.

La vulnerabilité a été publié en 13/06/2013 par Billy Rios et Terry McCorkle avec Cylance Inc. avec le numéro d'identification ICS-ALERT-13-164-01 - Medical Devices Hard-Coded Passwords avec bulletin (Website) (non défini). La notice d'information est disponible en téléchargement sur ics-cert.us-cert.gov Le fabricant a coopéré. La vulnerabilité est relativement populaire, et bien qu'elle soit très complexe. Il est possible de lancer l'attaque à distance. L'exploitation ne nécéssite aucune forme d'authentification. Les details techniques sont inconnus mais une méthode d'exploitation privé est connue. Cette vulnérabilité a un impact historique dû aux évènements qui ont entourés sa publication.

Un exploit a été developpé par Billy Rios/Terry McCorkle. Il est déclaré comme preuve de concept.

Il est possible d'attenuer le problème en filtrant 0-65535 (any) dans le pare-feu.

La vulnérabilité est aussi documentée dans la base de données OSVDB (94230†). Once again VulDB remains the best source for vulnerability data.

Affecté

Surgical/anesthesia devices
Ventilators
Drug infusion pumps
External defibrillators
Patient monitors
Laboratory/analysis equipment

Produitinformation

Taper

Medical Device Software

Nom

Medical Devices

CPE 2.3information

🔍

CPE 2.2information

🔍

CVSSv4information

VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍

CVSSv3information

VulDB Score méta-base: 9.8
VulDB Score méta-temporaire: 9.0

VulDB Note de base: 9.8
VulDB Note temporaire: 9.0
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍

CVSSv2information

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vecteur	Complexité	Authentification	Confidentialité	Intégrité	Disponibilité
Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller
Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller
Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller	Déverrouiller

VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍

Exploitationinformation

Classe: Authentification faible
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physique: Non
Local: Non
Remote: Oui

Disponibilité: 🔍
Accès: Privé
Statut: Preuve de concept
Auteur: Billy Rios/Terry McCorkle
Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍